CVE-2026-118264 in Echo
Riassunto
di VulDB • 28/10/2026
Echo è un framework web scritto in Go. Dalla versione 4.0.0 alla 4.16.1 e dalla 5.0.0 alla 5.4.1, il middleware Proxy di Echo seleziona una tunnel grezzo da una richiesta di upgrade WebSocket del client prima di verificare che l'upstream configurato abbia accettato tale upgrade. Se l'upstream rifiuta l'upgrade con una risposta keep-alive ordinaria, le successive richieste HTTP sulla connessione vengono inviate direttamente a quell'upstream senza passare attraverso il router di Echo o i middleware specifici per la route. Ciò può bypassare l'autenticazione o l'autorizzazione impostate esclusivamente dalle route di Echo, ma richiede una route proxy accessibile, una risposta di rifiuto dell'upgrade cooperante e un target privo di autorizzazione upstream indipendente. Questo problema è risolto nelle versioni 4.16.1 e 5.4.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.